El Supremo zanja el debate: un ciberataque puede justificar un ERTE por fuerza mayor

La posibilidad de sufrir un ciberataque es cada vez mayor y, llegado el caso, una empresa puede llegar a ver paralizada su actividad (en todo o en parte) durante varias semanas o incluso meses. ¿Justifica esto poder recurrir a un ERTE por fuerza mayor?

El Tribunal Supremo se ha pronunciado expresamente, sentenciando que aunque es cierto que una empresa puede haber previsto en su actividad ordinaria la existencia de un ciberataque (previsibilidad), hay algunos sucesos de este tipo que rebasan los tenidos en cuenta en el desenvolvimiento ordinario y, por ello, llegado el caso, es lícito poder recurrir al ERTE por fuerza mayor.

«Si se trata de un suceso inevitable, que rebasa los que pueden ser tenidos en cuenta en el curso normal de la vida de la empresa, estaremos ante un supuesto de fuerza mayor» (STS de 3 de julio de 2025, con remisión a su sentencia de 11/06/2024, recurso 144/2022).

Lo primero: qué es un ERTE por fuerza mayor

El Estatuto de los Trabajadores regula en su artículo 47 la reducción de jornada o suspensión del contrato por causas económicas, técnicas, organizativas o de producción o derivadas de fuerza mayor.

El procedimiento se iniciará mediante solicitud de la empresa dirigida a la autoridad laboral competente, acompañada de los medios de prueba que estime necesarios, y simultánea comunicación a la representación legal de las personas trabajadoras.

La existencia de fuerza mayor temporal como causa motivadora de la suspensión o reducción de jornada de los contratos de trabajo, deberá ser constatada por la autoridad laboral, cualquiera que sea el número de personas trabajadoras afectadas.

La autoridad laboral solicitará informe preceptivo de la Inspección de Trabajo y Seguridad Social antes de dictar resolución. Este informe deberá pronunciarse sobre la concurrencia de la fuerza mayor.

La normativa no contempla la posibilidad de acogerse a un ERTE por fuerza mayor debido a un ciberataque y existía la duda (zanjada ahora por el Tribunal Supremo) sobre si era factible o no el ERTE, máxime cuando la posibilidad de que una empresa sufra un ciberataque es cada vez mayor.

La sentencia del Tribunal Supremo de 3 de julio de 2025

El TS estima en parte el recurso de casación interpuesto por el Abogado del Estado, en la representación que tiene de la Administración General del Estado (Ministerio de Trabajo y Economía Social) y el interpuesto por CGJ contra la sentencia núm. 67/2023 de la Sala de lo Social de la Audiencia Nacional de 26/05/2023, sobre impugnación de actos administrativos en materia laboral y de seguridad social.

Casa y anula en parte la sentencia núm. 67/2023 de la Sala de lo Social de la Audiencia Nacional de 26/05/2023 en el procedimiento núm. 14/2022 y, desestimar la demanda en relación con la pretensión de nulidad de la resolución de 15 de julio de 2021, por extemporánea, sin que proceda entender estimada por silencio la solicitud de ERTE por fuerza mayor de la empresa demandante.

Ahora bien, lo más relevante es que el TS confirma en cuanto al fondo la citada sentencia en el sentido de reconocer y constatar expresamente la concurrencia de fuerza mayor, habilitando a la empresa a la adopción de las medidas suspensivas reconocidas en el artículo 47 del ET respecto de los trabajadores afectados.

(Imagen: E&J)

¿Por qué un ciberataque puede justificar un ERTE por fuerza mayor?

En primer lugar, el TS hace un repaso por el concepto de fuerza mayor, recordando la STS 927/2021, de 22 de septiembre (RC 75/2021): «Con carácter general, el concepto de fuerza mayor, debe ser entendido como «un acontecimiento externo al círculo de la empresa y del todo independiente de la voluntad del empresario, que, a su vez, sea imprevisible» [ STS (CA) de 23 de junio de 2003] y a los efectos de provocar una suspensión de los contratos de trabajo, (…); pero, sobre todo, que se trate de un acontecimiento no definitivo o sin vocación de permanencia que conlleve una simple imposibilidad temporal de que la prestación laboral se lleve a cabo [ STS (CA) de 25 de julio de 1989].

Se trataría, en suma, de una imposibilidad temporal y sobrevenida de la prestación de servicios no imputable ni atribuible al empleador».

Igualmente, la STS de 22 de julio de 2015 (recurso: 4/2012), explica: «En su consecuencia, y como corolario de todo lo expuesto, ha de entenderse por fuerza mayor y, por ende, por «situación extraordinaria», un acontecimiento externo al círculo de la empresa, absolutamente independiente de la voluntad de ésta que sea imprevisible o, siendo previsible, sea inevitable, requisitos éstos, que no concurren en el presente caso».

Y continua la sentencia referida a este supuesto: «En resumen, recogiendo los criterios de la Sala primera, esta Sala ha señalado en la sentencia antes mencionada de 22 de julio de 2015, que por fuerza mayor debe entenderse «aquellos hechos que aun siendo previsibles, sean sin embargo inevitables, insuperables e irresistibles, siempre que la causa que los motiva sea independiente y extraña a la voluntad del sujeto obligado» (…) También se ha hecho referencia a este elemento como «sucesos imprevistos e inevitables que rebasan los tenidos en cuenta en el curso normal de la vida y extraños al desenvolvimiento ordinario de un proceso industrial».

La imprevisibilidad no es preciso, pues, que concurra, siendo suficiente con el hecho de que, siendo previsible, sea inevitable.

Aplicando esto al caso concreto enjuiciado, razona el TS que en todo caso, no se discute, ni siquiera por la propia empresa demandante, el carácter previsible del ciberataque ni tampoco el que se trate de un hecho externo al círculo de la empresa».

(Imagen: E&J)

Volviendo a analizar el caso concreto razona que «la afirmación de que un ataque de ciberseguridad sufrido por una empresa, cuya prestación se desarrolla mediante el uso de sistemas informáticos, software, aplicaciones, etc., no pueda ser calificado de fuerza mayor, sino en todo caso una causa técnica o productiva, no es admisible, pues el hecho de que sea previsible un ataque de este tipo en una empresa cuyos medios materiales son esencialmente digitales, como lo son los ordenadores, no lo convierte en evitable.

Tampoco puede cuestionarse la existencia de fuerza mayor por el hecho de que el «suceso» no haya sido uno de los tradicionalmente considerados como tales, esto es, un incendio o un terremoto, pues el art. 1.105 CC no exige que sea un suceso natural, puede ser de otro tipo, atendida la realidad social en la que nos hallamos, una sociedad tecnológica, donde los sucesos pueden ser provocados por la acción del hombre.

En ese sentido, la principal diferencia entre una causa de fuerza mayor y otra de tipo objetivo técnica no está en la causalidad natural de la primera y humana en la segunda, sino en el hecho de que la fuerza mayor es un suceso externo, ajeno a la voluntad de la empresa y de carácter extraordinario, y la segunda es una causa introducida, favorecida o exigida por las circunstancias, pero siempre ordinaria y voluntaria.

La empresa puede haber previsto en su actividad ordinaria la existencia de un ciberataque (previsibilidad), pero hay algunos sucesos de este tipo que rebasan los tenidos en cuenta en el desenvolvimiento ordinario y, por ello, no pueden ser evitados (inevitabilidad).

Por eso, si se trata de un suceso inevitable, que rebasa los que pueden ser tenidos en cuenta en el curso normal de la vida de la empresa, estaremos ante un supuesto de fuerza mayor».

(Imagen: E&J)

Las claves de la sentencia del Tribunal Supremo

La sentencia (con remisión a STS de 11 de junio de 2024) es muy interesante porque cada vez hay empresas sufriendo ciberataques que pueden paralizar su actividad (ya sea total o parcialmente) y poder recurrir al ERTE por fuerza mayor (especialmente cuando la situación se prolongue en el tiempo) es una opción muy interesante.

El Tribunal Supremo deja claro en su sentencia estas tres cuestiones:

1. El art. 1.105 CC no exige que la fuerza mayor sea un suceso natural; puede ser de otro tipo, atendida la realidad social en la que nos hallamos, una sociedad tecnológica, donde los sucesos pueden ser provocados por la acción del hombre.
2. No es preciso que concurrra la imprevisibilidad para poder recurrir a un ERTE por fuerza mayor, siendo suficiente con el hecho de que, siendo previsible, sea inevitable.
3. La empresa puede haber previsto en su actividad ordinaria la existencia de un ciberataque (previsibilidad), pero hay algunos sucesos de este tipo que rebasan los tenidos en cuenta en el desenvolvimiento ordinario y, por ello, no pueden ser evitados (inevitabilidad). Por eso, si se trata de un suceso inevitable, que rebasa los que pueden ser tenidos en cuenta en el curso normal de la vida de la empresa, estaremos ante un supuesto de fuerza mayor.

En todo caso, sería deseable una reflexión sobre el marco normativo (concepto de fuerza mayor adecuado a la realidad actual) y plantearse la conveniencia de regular expresamente la posibilidad de acudir a un ERTE por fuerza mayor en caso de sufrir un ciberataque.

Jurisprudencia

Tribunal Supremo. Sala de lo Social Sede: Madrid Sección: 1 Fecha: 03/07/2025 N.º de Recurso: 216/2023 N.º de Resolución: 683/2025

Tribunal Supremo. Sala de lo Social Sede: Madrid Sección: 1 Fecha: 11/06/2024 N.º de Recurso: 144/2022 N.º de Resolución: 908/2024